הקצאת זכויות בקנה מידה למשתמשי דומיין מיערות שונים

כנראה שהקארמה שלי היא כזו: ליישם משימות סטנדרטיות בכל מיני דרכים לא טריוויאליות. אם למישהו יש חזון שונה של הבעיה, נא לדון בו כדי שניתן יהיה לפתור את הבעיה.

בוקר בהיר אחד עלתה משימה מעניינת להפיץ זכויות לקבוצות משתמשים עבור שיתופים שונים המכילים תיקיות משנה של פרויקטים עם תיקיות מסמכים. הכל היה בסדר ונכתב תסריט להקצאת זכויות לתיקיות. ואז התברר שהקבוצות צריכות להכיל משתמשים מתחומים שונים, מיערות שונים (למי ששכח מה זה). נניח שהשיתוף עצמו ממוקם במדיה של Synology, הרשומה בדומיין ה-FB של יער PSI. משימה: לאפשר למשתמשי דומיינים ביער אחר לקבל גישה לתוכן של שיתוף זה, ובאופן סלקטיבי מאוד.

לאחר זמן מה, המפרט הטכני קיבל את הטופס הבא:

• 2 יערות: יער PSI, יער TG.

  

• לכל יער יש 3 תחומים: PSI (ZG, PSI, FB); TG (TG, HU, KC).
• יש קשרי אמון בין יערות; Synology רואה את כל קבוצות האבטחה בכל היערות.
• שיתופים ותיקיות/תיקיות משנה חייבים להיות בעלי חשבונות מנהל תחום FB עם זכויות FullControl
• יש לבצע שיטתיות של שמות התיקיות. ההנהלה ריכזה את מזהי הפרויקט; החלטתי לקשר את שם קבוצות האבטחה למזהות הפרויקט.
• תיקיות פרויקט בשיתופי מערכת חייבות להכיל מבנה שהוכן מראש בקובץ ‎.xlsx, עם הרשאות גישה מתאימות (R/RW/NA, כאשר NA – ללא גישה)

  

• צריך להיות אפשרי להגביל את הזכויות של משתמשים/חברי קבוצה של פרויקט אחד רק לספריות מסוימות של אותו פרויקט. ייתכן שלמשתמש לא תהיה גישה לספריות/פרויקטים אחרים, בהתאם לחברות בקבוצה.
• בעת יצירת תיקיית פרויקט, יש ליצור קבוצות באופן אוטומטי ככל האפשר בדומיינים המתאימים עם שמות התואמים למזהי הפרויקט.

הערות למפרט הטכני

• הקמת קשרי אמון אינה כלולה בהיקף המפרט הטכני
• מזהה הפרויקט מכיל מספרים ותווים לטיניים
• לתפקידי משתמש בפרויקט לכל הדומיינים יש שמות סטנדרטיים
• קובץ .xlsx עם תיקיות וזכויות גישה (מטריצת גישה) מוכן לפני תחילת הפרויקט כולו
• בעת יישום פרויקטים, ניתן ליצור קבוצות משתמשים בדומיינים המתאימים
• אוטומציה מושגת באמצעות כלי ניהול סטנדרטיים של MS Windows

יישום מפרט טכני

לאחר מיסוד הדרישות הללו, ננקטה הפסקה טקטית לבדיקת שיטות ליצירת ספריות והקצאת זכויות להן. זה נועד להשתמש רק ב- PowerShell, כדי לא לסבך את הפרויקט. כפי שכתבתי קודם, אלגוריתם התסריט נראה די פשוט:

• אנו רושמים קבוצות עם שם הנגזר ממזהה הפרויקט (לדוגמה KC40587) והתפקידים המתאימים המצוינים במטריצת הגישה: KC40587-EN- for engineer; KC40587-PM – למנהל מוצר וכו'.
• אנו מקבלים את ה-SID של הקבוצות שנוצרו
• רשום את תיקיית הפרויקט ואת קבוצת הספריות המתאימה (רשימת תיקיות המשנה תלויה בשיתוף שבו היא נוצרת ומוגדרת במטריצת הגישה)
• להקצות זכויות לקבוצות עבור ספריות משנה חדשות של הפרויקט בהתאם למטריצת הגישה.

קשיים שנתקלו בשלב 1:

• אי הבנה של שיטת ציון מטריצת הגישה בסקריפט (מערך רב-ממדי מיושם כעת, אך מחפשים את הנתיב למילויו בהתבסס על התוכן של קובץ .xlsx/מטריצת גישה)

  

• חוסר אפשרות להגדיר זכויות גישה בשיתופי SMB בכונני סינולוגיה באמצעות PoSH (https://social.technet.microsoft.com/Forums/en-US/3f1a949f-0919-46f1-9e10-89256cf07e65/error-using-setacl-on- nas -share?forum=winserverpowershell), שבגללו אבד הרבה זמן והכל היה צריך להיות מותאם לסקריפטים באמצעות כלי עריכת זכויות הגישה icacls, שדרש יצירת מאגר ביניים של קבצי טקסט ו-cmd.

במצב הנוכחי, ביצוע קבצי cmd נשלט באופן ידני, בהתאם לצורך ברישום תיקיה לפרויקט.

התברר גם שצריך להפעיל את הסקריפט גם כדי לרשום קבוצות ביערות אחרים (השימוש במונח Cross-domains), והיחס יכול להיות לא רק 1 לאחד, אלא גם 1 לרבים.

המשמעות היא שקבוצות מתחומים חוצי-דומיינים אחרים, כולל יער סמוך, יכולות כעת לדרוש גישה למשאבים של כל תחום. כדי להשיג אחידות, הוחלט ליצור מבנה סימטרי ב-OU של כל התחומים המסופקים בכל היערות (אליפסות אנכיות שחורות). כמו שאומרים, בצבא הכל צריך להיות מכוער, אבל אחיד:

לפיכך, בעת רישום פרויקט 80XXX בתחום TG, הסקריפט מבצע:

1. יצירת ה-OU המקביל (סגלגלות אדומות אופקיות) בתחום זה ובחוצות דומיינים, כלומר, אלו הדומיינים שלעובדיהם חייבת להיות גישה למשאב זה.

2. מילוי OU בקבוצות עם שמות כמו -, איפה:

• SRC_ domain – חוצה דומיינים שלעובדיו תהיה גישה למשאבי דומיינים DST
• DST_domain – הדומיין שלמעשה צריך לספק גישה למשאבים שלו, כלומר למען התחיל הכל
• - מספר פרויקט
• ROLES – שמות התפקידים הרשומים במטריצת הגישה.

3. קריאת מערך ה-SID של כל הקבוצות של כל הדומיינים המעורבים ושמירתו להעברת נתונים בהמשך לקובץ המגדיר את הזכויות לתיקיית משנה של פרויקט ספציפי

4. יצירת קבצי מקור (פרמטר /שחזור) עם קבוצת זכויות לשימוש על ידי כלי השירות icacKC במצב קובץ הפעלה "icacKC "as-nasNNKCProjects" /שחזור C:TempKCKC40XXKC40XX.txt"

5. יצירת קובץ CMD המשלב את כל ה-icacls שהושקו עבור כל תיקיות הפרויקט

כפי שנכתב קודם לכן, השקת קובץ ההפעלה מתבצעת באופן ידני והערכת תוצאות הביצוע נעשית גם היא באופן ידני.

קשיים שנאלצנו להתמודד איתם בסופו של דבר:

• אם תיקיית הפרויקט כבר מלאה במספר רב של קבצים, הרי הפעלת הפקודה icacls על אמצעי האחסון הקיימים עשויה לקחת זמן רב, ובמקרים מסוימים להוביל לכישלון (לדוגמה, כאשר יש נתיבי קבצים ארוכים);
• בנוסף לפרמטר /restore, היינו צריכים להוסיף שורות עם הפרמטר /reset למקרה שהתיקיות לא נוצרו, אלא הועברו מתיקיות קיימות בעבר, עם זכויות ירושה מהשורש מושבתות;
• חלק מהסקריפט ליצירת קבוצות היה צריך להתבצע על DC שרירותי של כל יער, הבעיה נוגעת לחשבונות ניהוליים עבור כל עץ.

מסקנה כללית: זה מאוד מוזר שעדיין אין כלי עזר עם פונקציונליות דומה בשוק. נראה שניתן ליישם פונקציונליות דומה בהתבסס על פורטל Sharepoint.
זה גם לא מובן שלא ניתן להשתמש בכלי עזר PoSH להגדרת זכויות תיקיות במכשירי סינולוגיה.

אם תרצה, אני מוכן לשתף את הסקריפט על ידי יצירת פרויקט כלשהו ב-github אם מישהו מעוניין.

מקור: www.habr.com